XXXX法院等保建设方案

1、XXXXX等级保护安全建设方案2019年3月目录 TOC o 1-5 h z HYPERLINK l bookmark0 o Current Document 1项目背景4 HYPERLINK l bookmark2 o Current Document 方案目标4 HYPERLINK l bookmark4 o Current Document 项目范围5 HYPERLINK l bookmark6 o Current Document 设计原则5 HYPERLINK l bookmark8 o Current Document 参考标准52法院信息系统情况6系统构成6XXXXX现网网络拓扑

2、图6 HYPERLINK l bookmark13 o Current Document 存在安全问题分析7 HYPERLINK l bookmark21 o Current Document 3安全需求分析.8 HYPERLINK l bookmark23 o Current Document 3.1安全指标与需求分析8 HYPERLINK l bookmark33 o Current Document 4信息安全体系框架设计115技术体系整改12边界安全12数据安全13主机安全13运维管理错误!未定义书签。6安全产品部署情况错误!未定义书签。产品部署说明错误!未定义书签。防病毒网关产品部署

3、错误!未定义书签。 TOC o 1-5 h z 终端杀毒防御系统部署14堡垒机产品部署14 HYPERLINK l bookmark44 o Current Document 日志审计产品部署16 HYPERLINK l bookmark46 o Current Document 数据库审计产品部署177安全产品部署情况错误!未定义书签。管理措施实现错误!未定义书签。管理机构和人员的设置错误!未定义书签。管理制度的建设和修订错误!未定义书签。人员安全技能培训错误!未定义书签。安全实施过程管理错误!未定义书签。方案评审错误!未定义书签。安全漏洞扫描错误!未定义书签。1项目背景近年来，勒索病毒威胁

4、呈现愈演愈烈之势，传播方式更多元，病毒更新迭代 加快，勒索病毒俨然成为近两年来最严峻的网络安全威胁之一。而勒索病毒的攻 击方式也从原来的广撒网逐渐转变为定向攻击高价值目标，从对个人客户的攻击 逐渐转移至以政府机构、重要行业为攻击对象。针对勒索病毒安全事件频发以及爆发后的巨大影响，最高法出台通知，要求 全国各级法院根据要求进行整改，切实加强安全风险管控，确保法院专网安全稳 定运行。2018年n月12日起，最高法通过办公厅秘书处，陆续向全国各法院 发布关于展开全国法院办公专网信息安全专项整治工作的通知。同时依照国 家网络安全法、信息系统安全等级保护基本要求等相关法规及要求，以及 XXXXX对信息系

5、统安全稳定运行的业务需求，通过事前威胁检测、事中联动防御、 事后关联分析的机制。全面实现GBT22239-2008信息安全技术信息系统安全等 级保护基本要求中对于三级系统的安全要求。方案目标本次XXXXX核心业务系统等级保护安全建设的主要目标是：按照等级保护要求，结合实际业务系统，对法院的核心业务系统进行充分调 研及详细分析，将法院的核心业务系统系统建设成为一个及满足业务需要，又符 合等级保护三级级系统要求的业务平台。依照国家国家网络安全法、信息系统安全等级保护基本要求等相关 法规及要求，以及XXXXX对信息系统安全稳定运行的业务需求，通过事前威胁检 测、事中联动防御、事后关联分析的机制。全面

6、实现GBT22239-2008信息安全 技术信息系统安全等级保护基本要求中对于三级系统的安全要求。同时结合XXXXX网络现状及信息安全建设情况进行规划设计，根据信息系统 的定级情况、信息系统承载业务情况和安全需求等，设计合理的、满足等级保护 要求的安全改造方案并以此为依据提出具有可执行性的安全整改建议，通过实施 安全整改，从技术和管理两方面达到国家等级保护的基本要求，完善XXXXX信 息系统安全技术防护措施、安全管理制度和安全运维体系，分期建设完整的信息 安全防护体系，最终目标是XXXXX网络及应用系统的安全稳定运行以及通过最终 测评。项目范XXXXX局域网基础系统、科技法庭系统、办公自动化系

7、统（按照安全类别第 III级（S3A3G3）的标准设计）。设计原则在项目实施过程中，将遵循以下原则：符合性原则：项目建设要符合国家等级保护政策和标准规范要求，通过 专业等级保护测评机构的测评，并到公安部门及上级主管单位完成备案;适度安全原则：安全防护工作的根本性原则，指安全防护工作应根据重 要信息系统的安全等级，平衡效益与成本，采取适度的安全技术和管理 措施；可控性原则：指相关的项目组人员应具备可靠的职业素质和专业素质； 项目实施过程中技术工具的使用可控，避免引入新的风险；项目过程可 控性：要对整个安全防护项目进行科学的项目管理，实现项目过程的可 控性；最小影响原则：从项目管理层面和技术管理层

8、面，项目的实施过程对信 息系统正常运行的影响降低到最低限度，以确保日常业务的正常运行；保密性原则：相关安全防护工作人员签署协议，承诺对所进行的安全防护工 作保密，确保不泄露重要信息系统安全防护工作重要和敏感信息。参考标准在开展信息系统等级保护安全体系建设方案的设计过程中将严格按照国 家的相关法律标准展开，为用户提供符合自身实际需求及满足等级保护建设规范 的优质方案，主要依据的标准文件包含如下：本方案主要参考一下标准和依据：国家标准：GB 17859-1999计算机信息系统安全保护等级划分准则GB/T 22240-2008信息安全技术信息系统安全等级保护定级指南GB/T 22239-2008信息

9、安全技术信息系统安全等级保护基本要求GB/T 25058-2010信息安全技术信息系统安全等级保护实施指南2法院信息系统情况系统构成XXXXX的信息系统主要包括外部网络（外网，连接互联网）和内部网络（内 网，提供内部业务系统使用，与互联网逻辑隔离）。系统有科技法庭系统和局域网基础系统以及办公自动化系统。科技法庭系统（S3A3G3级）局域网基础系统（S3A3G3级）办公自动化系统（S3A3G3级）XXXXX现网网络拓扑图XXXXX现有网络架构图2-1存在安全问题分析边界安全方面未能根据业务需要对会话终止时间进行合理限制；未记录网络攻击行为日志 信息；发生严重入侵事件时未能对攻击行为进行报警；网络

10、边界处未部署恶意代 码检测措施；多个月内恶意代码库未更新升级；未对管理员登录网络设备地址进 行任何限制；未对所有业务确定重要性、优先级，制定业务相关带宽分配原则及 相应的带宽控制策略等等。主机安全方面科技法庭系统：未对重要文件的访问权限作合理配置；如果是Windows系 统，未关闭系统默认共享；如果是Unix系统查看重要目录的访问权限；局域网基础系统：未启用系统安全审计功能，未对用户的重要操作进行日志 记录；主机层未安装防病毒软件；网络层未部署防毒墙；主机层与网络层部署的 防恶意代码产品具有相同的代码库；所安装的防恶意代码软件为单机版，未能实 现统一管理，统一更新，统一检测与查杀等等。数据安全

11、方面访问控制覆盖粒度未包含主体、客体及它们之间的操作情况二：渗透测试发 现存在访问控制未能覆盖的客体；非授权人员可以进行用户权限管理，实际授权 与权限策略不一致，可进行越权操作；存在默认权限账户；未对审计记录进行统 计、查询及分析，未生成升级报表；未提供对一个时间段内可能的并发会话连接 数进行限制；未提供系统服务水平检测功能；未提供服务优先级设置功能等等。3安全需求分析3.1安全指标与需求分析XXXXX核心业务系统的安全建设核心需求即满足等级保护的相关要求，因此 将以满足等级保护指标为目标。根据前期监管机构检查的结果，结合自身业务需 求，可以确定需要满足的等级保护指标如下表3-1所示：单位级安

12、全指标（三级）安全管理机构人员安全管理安全管理制度数据安全 及备份恢复网络安全物理安全系捽制点数量捽制点数量捽制点数量捽制点数量捽制点数量控制点数量控用岗位设 置4安全意 识教育 和培训4管理制 度4备份和 恢复4安全审 计4电磁防 护3安W 件女沟通和 合作5人员考 核3评审和 修订2数据保 密性2边界完 整性检 查2电力供 应4备 恢5 理人员配 备3人员离L-U 岗3制定和 发布5数据完 整性2恶意代 码防范2防盗窃 和防破 坏6变手 理审核和 检查4人员录 用4访问控 制8防火3恶I 码也 管工授权和 审批4外部人 员访问 管理2结构安 全7防静电2环t 理入侵防 范2防雷击3监书 安

13、W 理q防水和 防潮4介质 理温湿度 控制1密不 理物理访 问控制4设 理物理位 置的选 择2网名 全全系z 全限应 案车资厂 理表3-110XXXXX等级保护安全建设方案.一 ._114信息安全体系框架设计根据信息系统安全等级保护基本要求，分为技术和管理两大类要求，具体如图4-1所示:物理安4网站支据隹 物理安4网站支据隹 份&殷安及其恢图4-1本方案将严格根据技术与管理要求进行设计。首先应根据本级具体的基本要 求设计本级系统的保护环境模型，根据信息系统等级保护安全设计技术要求， 保护环境按照安全计算环境、安全区域边界、安全通信网络和安全管理中心进行 设计，内容涵盖基本要求的5个方面。同时结

14、合管理要求，形成如图4-1所示的 保护环境模型：XXXXX等级保护安全建设方案三级系统安全保护环境建设框架安全管理安全管理平台素诿串兔】雷音蕾逋：至基普嵬口安全安全管理令制!阿通信网络安全i网络设署防护计算环境安全系统安全审引&侵防范曳超茎理甚隹般隹蕤仲樨情强耨访间控相上机心意代码防他区域边界安全边界访问控制电界完整性拴查IL人员安全管理系统建设管理地界入侵防他安至管理、通信完整性令制!阿通信网络安全i网络设署防护计算环境安全系统安全审引&侵防范曳超茎理甚隹般隹蕤仲樨情强耨访间控相上机心意代码防他区域边界安全边界访问控制电界完整性拴查IL人员安全管理系统建设管理地界入侵防他安至管理、通信完整性

15、通信保密性i网鳏可信接人;边界安全审计！( 督源控泡客休安令用用边界总意代码防慈1抗抵赖系统”物理安全!物理选址 机房环境机房管理i ；翌备与介质管理j图4-1信息系统的安全保护等级由业务信息安全性等级和系统服务保证性等级较 高者决定，因此，对某一个定级后的信息系统的安全保护的侧重点可以有多种组 合。对于3级保护系统，其组合为：（在S1A3G3, S2A3G3, S3A3G3, S3A2G3， S3A1G3选择）。以下详细方案设计时以S3A3G3为例，其他组合根据实际情况 酌情修改。5技术体系整改边界安全通过对边界风险与需求分析，在网络层进行访问控制需部署边界安全防护产 品，通过该安全产品实现

16、对边界的访问控制、入侵防范和恶意代码防范，要求下 一代防火墙具备如下功能功能：可以对所有流经该设备的数据包按照严格的安全规则进行过滤，将所有不安 全的或不符合安全规则的数据包屏蔽，杜绝越权访问，防止各类非法攻击行为。可面对越来越广泛的基于应用层内容的攻击行为，该设备还应具有能够及时12XXXXX等级保护安全建设方案识别网络中发生的入侵行为并实时报警并且进行有效拦截防护。能够对夹杂在网络交换数据中的各类网络病毒进行过滤，可以对网络病毒、 蠕虫、混合攻击、端口扫描、间谍软件、P2P软件带宽滥用等各种广义病毒进行 全面的拦截。阻止病毒通过网络的快速扩散，将经网络传播的病毒阻挡在外，可 以有效防止病毒

17、从其他区域传播到内部其他安全域中。截断了病毒通过网络传播 的途径，净化了网络流量。部署下一代防火墙时应特别注意设备性能，产品必须具备良好的体系架构保 证性能，能够灵活的进行网络部署。同时为使得达到最佳防护效果。另外，安全 防护设备的防病毒库应该和桌面防病毒软件应为不同的厂家产品，两类病毒防护 产品共同组成中级法院的立体病毒防护体系。数据安全部署数据库审计系统对用户行为、用户事件及系统状态加以审计，范围覆盖 到每个用户，从而把握数据库系统的整体安全，具体要求：细粒度审计：实时监控业务系统和管理员对业务数据库的所有访问，根据多 种安全策略判定访问操作的风险等级，从而实现完全独立于数据库的审计功能。

18、 模块提供可视化的审计日志检索和回放功能，生成可读性高的报表，达到提高数 据库及业务系统的安全性的目的。状态监控：实时监控数据库运行状态，在状态异常时进行预警，防止业务瘫 痪，保障业务系统的可用性，包括用户活动情况、数据库内存状态、文件系统状 态、查询响应性能。漏洞扫描：实现数据库的漏洞扫描，提前预知风险状况，包括弱口令检查、 软件漏洞补丁、权限分配风险、数据库配置风险、操作系统相关风险。主机安全集中身份管理系统是针对国内企业信息化发展现状而开发的应用系统管理 平台,可以在不改变现有软硬件及网络环境的前提下，无缝地将用户各种现有的 应用系统整合到单点登录平台上，实现一次登录后就可访问所有有权限

19、访问的应 用系统。13XXXXX等级保护安全建设方案集中身份管理系统能够为单位应用系统提供集中的管理平台，减少系统维护 工作；能够为企业提供全面的用户和资源管理，减少企业的维护成本；能够帮助 企业制定严格的资源访问策略和采用强身份认证手段，全面保障系统资源的安全; 能够详细记录用户对资源的访问及操作，达到对用户行为审计的需要。终端管控系统部署部署位置在XXXXX、所有服务器终端上部署终端管控系统系统进行主机安全防护、 防止中勒索病毒、未知病毒、外接设备端口管控等。实现目的实现智能检测防御CC攻击，内核级防火墙（业务间流量东西向隔离）功能， 集中管控、具有系统漏洞扫描和修复功能，提供真实漏洞补丁

20、。管理中心可作为 补丁服务器。提供离线补丁下载器，按需智能获取内网所需补丁，支持防端口扫 描，防违规外联，锁定恶意的端口扫描及外联行为，并记录告警。提供实时对终 端进行管控。对应等级保护三级要求终端威胁防御系统是针对国内企业信息化发展现状而开发的应用系统管理 平台,可以在不改变现有软硬件及网络环境的前提下，无缝地将用户各种现有的 应用系统整合到单点登录平台上，实现一次登录后就可访问所有有权限访问的应 用系统。终端威胁防御系统能够为单位应用系统提供集中的管理平台，减少系统维护 工作；能够为企业提供全面的用户和资源管理，减少企业的维护成本；能够帮助 企业制定严格的资源访问策略和采用强身份认证手段，

21、全面保障系统资源的安全; 能够详细记录用户对资源的访问及操作，达到对用户行为审计的需要。帐号管理系统部署部署位置在中级法院运维管理区部署特权帐号管理系统。县法院不需要部署特权帐号 管理系统、市中院统一管理运维；满足三级等保要求。14XXXXX等级保护安全建设方案实现目标通过部署特权帐号管理系统，实现如下安全目标：.对以 SSH，TELNET，FTP，SCP、SFTP、远程桌面 RDP、VNC、X11、HTTP、 HTTPS、ORACLE. MSSQL、DB2，INFORMIX，MYSQL 等应用协议的集中管理 与审计；.实现所有运维人员、服务器、网络设备、安全设备、数据库的集中管理；.自动改密

22、可以对主流的windows、linux、unix、交换机、路由器等设备， 对用户最担心的密码安全方面设计了完善的策略；.完整记录运维管理员的运维过程，哪个账号通过哪个IP地址登陆了什么 设备、在设备上面做了什么操作、目标设备的返回结果都会完整记录；.提供了丰富的统计报表，对资产运维操作以及系统自身运行、操作进行 各类统计和多维度分析。对应等级保护三级要求通过部署特权帐号管理系统，可以满足信息系统安全等级保护基本要求中网 络安全中的要求：1、应对登录网络设备的用户进行身份鉴别；2、主要网络设备应对同一用户选择两种或两种以上组合的鉴别技术来进行 身份鉴别；3、应具有登录失败处理功能，可采取结束会话

23、、限制非法登录次数和当网 络登录连接超时自动退出等措施；4、当对网络设备进行远程管理时，应采取必要措施防止鉴别信息在网络传 输过程中被窃听；满足信息系统安全等级保护基本要求中主机安全中的要求：1、操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口 令应有复杂度要求并定期更换；2、应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动15XXXXX等级保护安全建设方案退出等措施；3、当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传 输过程中被窃听；4、应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别。5、应及时删除多余的、过期的帐户，避免共享帐户的存在。

24、6、应依据安全策略严格控制用户对有敏感标记重要信息资源的操作；7、审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的 使用等系统内重要的安全相关事件；8、应能够根据记录数据进行分析，并生成审计报表；9、应保护审计进程，避免受到未预期的中断；10、应保护审计记录，避免受到未预期的删除、修改或覆盖等。满足信息系统安全等级保护基本要求中系统运维管理中的要求：1、应建立系统安全管理制度，对系统安全策略、安全配置、日志管理和日 常操作流程等方面作出具体规定；2、应指定专人对系统进行管理，划分系统管理员角色，明确各个角色的权 限、责任和风险，权限设定应当遵循最小授权原则。6.2.30志审计产品部署部署位置在中级法院运维管理区部署日志审计产品。县法院不需要部署日志审计产品、 市中院统一管理运维；满足三级等保要求。实现目标通过部署综合日志审计产品，实现如下安全目标：.各种安全事件日志（攻击、入侵、异常）、各种行为事件日志（内控、违规）、 各种弱点扫描日志（弱点、漏洞）、各种状态监控日志（可用性、性能、状16XXXXX等级保护安全建设方案态）、安全视角的事件描述;.实时关联分析，跨设备的多事件关联分析；.根据资产价值、资产漏洞、针对漏洞的威胁事件三者进行威胁的自动关 联分析；.日志备份自动传送到远程服务器；.设置安全告警策略，